Tất cả câu hỏi

Đáp án đúng: "Three-leg perimeter configuration". Cấu hình ba chân (three-leg hay three-legged) dùng một tường lửa duy nhất có ba giao diện: một nối mạng ngoài (Internet), một nối mạng nội bộ và một nối vùng DMZ chứa các máy chủ công khai như web, mail; tường lửa áp chính sách riêng cho lưu lượng giữa từng cặp vùng. Ưu điểm là rẻ và gọn, nhược điểm là tường lửa trở thành điểm lỗi duy nhất. "Back-to-back configuration" dùng hai tường lửa đặt nối tiếp, DMZ nằm giữa tường lửa ngoài và tường lửa trong, nên không phải một tường lửa ba giao diện. "Basic configuration" chỉ cách bố trí đơn giản nhất với một tường lửa đứng giữa mạng nội bộ và Internet, không dành giao diện riêng cho vùng DMZ. "Perimeter configuration" là cách gọi chung việc đặt thiết bị bảo vệ ở biên mạng, không nói rõ số tường lửa hay số giao diện nên không đặc trưng cho mô hình được hỏi.

Đáp án đúng: "a full backup of the system". Khi không thể dựng bản ảo hóa để kiểm thử an toàn, người kiểm thử phải làm việc trực tiếp trên hệ thống thật, nên biện pháp phòng ngừa cần có trước tiên là sao lưu toàn bộ để có thể khôi phục nếu bài kiểm thử làm hỏng dữ liệu hay dịch vụ. "rebuild the system after any test is performed" tốn kém và không cần thiết khi đã có bản sao lưu, đồng thời không bảo vệ được dữ liệu nếu chưa sao lưu trước đó. "adopt penetration test tools that will certainly not damage the system" không khả thi vì không công cụ nào bảo đảm chắc chắn không gây ảnh hưởng tới hệ thống đang chạy. "a complete report with recommended repairs" là sản phẩm của giai đoạn cuối, đến sau khi kiểm thử xong, không phải bước chuẩn bị để giảm rủi ro khi kiểm thử.

Đáp án đúng: "It is an international consolidation of cybersecurity tools and databases.". CVE (Common Vulnerabilities and Exposures) là danh mục chuẩn quốc tế gán cho mỗi lỗ hổng đã công bố một mã định danh duy nhất dạng CVE-năm-số; nhờ dùng chung mã này mà các công cụ quét, cơ sở dữ liệu lỗ hổng như NVD và các dịch vụ an ninh khắp nơi được hợp nhất về một cách gọi tên, nên người kiểm thử có thể từ kết quả quét tra ngay mô tả, mức độ và bản vá. "It is a high level list of software weaknesses." sai vì danh sách các loại điểm yếu phần mềm ở mức trừu tượng là CWE (Common Weakness Enumeration), còn CVE ghi từng lỗ hổng cụ thể trong sản phẩm cụ thể. "It has three vulnerability score components." sai vì ba nhóm chỉ số cơ sở, thời gian và môi trường là của CVSS, hệ thống chấm điểm mức nghiêm trọng đi kèm chứ không phải CVE. "It is a dictionary of known attacks." sai vì CVE liệt kê lỗ hổng chứ không liệt kê kiểu tấn công; danh mục mẫu tấn công là CAPEC.

Đáp án đúng: "Open Web Application Security Project (OWASP)". OWASP là cộng đồng phi lợi nhuận quốc tế chuyên về bảo mật ứng dụng web: họ đào tạo người làm nghề, xây công cụ mã nguồn mở như OWASP ZAP và phổ biến thực hành tốt qua các tài liệu như OWASP Top 10 hay Testing Guide, đúng với mô tả. "Common Vulnerabilities and Exposures (CVE)" không phải tổ chức mà là danh mục định danh lỗ hổng đã công bố do MITRE duy trì, mỗi lỗ hổng một mã CVE. "Institution of Electrical and Electronics Engineering (IEEE)" là hiệp hội kỹ thuật điện và điện tử, nổi tiếng với các chuẩn như 802.11, không chuyên riêng về bảo mật web. "SysAdmin, Audit, Network and Security (The SANS Institute)" là tổ chức đào tạo và cấp chứng chỉ an ninh mạng nói chung, rất uy tín nhưng phạm vi rộng chứ không dành riêng cho ứng dụng web và hạ tầng phía sau như OWASP.

Đáp án đúng: "badge cloning". Badge cloning (sao chép thẻ ra vào) là việc tạo bản sao thẻ nhận dạng hoặc thẻ RFID của nhân viên; một bức ảnh rõ nét đăng trên mạng xã hội cho kẻ xấu thấy bố cục, logo, ảnh, mã vạch hay số thẻ để làm thẻ giả trông như thật, nên nhân viên cần tránh công khai thẻ của mình. "watering hole" là tấn công qua mạng: cài mã độc vào một trang web mà nhóm nạn nhân hay truy cập, không phải tấn công vật lý. "pivot" (xoay trục) là kỹ thuật hậu khai thác, dùng máy đã chiếm được làm bàn đạp sang mạng khác. "shoulder surfing" (nhìn trộm qua vai) là đứng gần để quan sát mật khẩu, mã PIN khi nạn nhân nhập, cần có mặt tại chỗ chứ không bắt nguồn từ ảnh đăng lên mạng.

Đáp án đúng: "PGP". PGP (Pretty Good Privacy) là giao thức và phần mềm mã hoá được dùng phổ biến để bảo mật thư điện tử: nó kết hợp mã hoá đối xứng cho nội dung thư với mã hoá khoá công khai cho khoá phiên, đồng thời hỗ trợ ký số để xác thực người gửi và toàn vẹn nội dung. "Keyczar" sai vì đây là một thư viện mã hoá mã nguồn mở giúp lập trình viên dùng mật mã an toàn trong ứng dụng, không phải giao thức bảo mật email. "RSA" sai vì RSA là thuật toán mã hoá khoá công khai; PGP có thể dùng RSA bên trong, nhưng bản thân RSA không phải giao thức thư điện tử. "MD5" sai vì MD5 là hàm băm tạo giá trị 128 bit, không mã hoá được dữ liệu để giải ngược và nay đã bị coi là yếu do va chạm.

Đáp án đúng: "It forces the web browser to have the cookies processed only by the server.". Cờ HttpOnly báo cho trình duyệt rằng cookie chỉ được gửi kèm trong các yêu cầu HTTP tới máy chủ và không cho mã phía máy khách như JavaScript đọc qua document.cookie; nhờ vậy nếu trang dính lỗi XSS (cross-site scripting), kẻ tấn công khó đánh cắp cookie phiên. "It indicates to the web browser that web client-based code can access the cookie." nói ngược hẳn tác dụng của cờ: HttpOnly chính là để chặn mã phía máy khách truy cập cookie. "It requires the web browser to establish a secure HTTPS link to the server." mô tả cờ Secure, cờ buộc cookie chỉ được gửi qua kết nối HTTPS; hai cờ thường được dùng cùng nhau nhưng có chức năng khác nhau. "It informs the web client that the cookie is a persistent cookie." sai vì tính lâu dài của cookie do thuộc tính Expires hoặc Max-Age quyết định, cookie thiếu chúng là cookie phiên (session cookie) bị xóa khi đóng trình duyệt.

Đáp án đúng: "Increasing project scope beyond agreed terms". Scope creep (trượt phạm vi) là hiện tượng công việc kiểm thử dần mở rộng ra ngoài phạm vi đã thỏa thuận trong hợp đồng và quy tắc tham gia, ví dụ khách hàng yêu cầu thêm hệ thống hay kỹ thuật mới mà không ký bổ sung; điều này gây rủi ro pháp lý, trễ hạn và đội chi phí, nên mọi thay đổi phải được ghi nhận bằng văn bản. "Testing done outside of regular hours" chỉ là khung thời gian thực hiện, vốn được thống nhất trước trong quy tắc tham gia. "Discovering unknown vulnerabilities" chính là mục tiêu bình thường của kiểm thử, không làm phạm vi phình ra. "Hiring additional testers mid-project" là thay đổi nguồn lực của nhóm thực hiện, không phải mở rộng những gì được phép kiểm thử.

Đáp án đúng gồm ba ý: "IPS devices", "switches" và "AAA servers". Kiểm thử hạ tầng mạng (network infrastructure test) nhắm vào các thành phần tạo nên và bảo vệ mạng: thiết bị chuyển mạch, định tuyến, tường lửa, thiết bị IPS (hệ thống ngăn chặn xâm nhập) và máy chủ AAA (xác thực, cấp quyền, kế toán, như RADIUS hay TACACS+), nhằm tìm cấu hình sai, VLAN hopping, giao thức quản trị không mã hoá hay khả năng vượt qua kiểm soát. "virtual machines (VM) that are running in the cloud" không được chọn vì máy ảo trên đám mây thuộc phạm vi kiểm thử đám mây (cloud penetration test), gắn với mô hình trách nhiệm chia sẻ và cần phép của nhà cung cấp. "the digital storefront" không được chọn vì cửa hàng trực tuyến là ứng dụng web, thuộc kiểm thử ứng dụng (application-based test) với các lỗi như chèn SQL hay XSS.

Đáp án đúng: "It gives a full, interactive GUI of the remote compromised computer.". Remote Desktop (RDP) cho người kiểm thử một phiên giao diện đồ hoạ đầy đủ, tương tác như đang ngồi trước máy đã bị chiếm quyền, điều mà bộ Sysinternals vốn làm việc qua dòng lệnh không có. Các phương án kia mô tả chính khả năng của Sysinternals nên không phải ưu thế của Remote Desktop: "It can upload, execute, and interact with executables on compromised hosts." là việc PsExec làm được khi đẩy và chạy chương trình trên máy từ xa; "It can run commands revealing information about running processes, and services can be killed and stopped." ứng với các tiện ích như PsList, PsKill, PsService để liệt kê tiến trình và dừng dịch vụ; "It can use PsExec to remotely execute anything that can run on a Windows command prompt." nói thẳng tới PsExec, một thành phần của Sysinternals. Với người phòng thủ, cả RDP lẫn PsExec đều là dấu hiệu lateral movement (di chuyển ngang) cần giám sát trong nhật ký đăng nhập.

Đáp án đúng: "1 - d, 2 - c, 3 - b, 4 - a". False negative (âm tính giả) là hoạt động độc hại mà thiết bị an ninh không phát hiện, ứng với mô tả d; true negative (âm tính thật) là khi IDS coi một hoạt động là hợp lệ và nó đúng là hợp lệ, ứng với mô tả c; false positive (dương tính giả) là cảnh báo bật lên dù không có tấn công, ứng với mô tả b; true positive (dương tính thật) là nhận diện thành công một cuộc tấn công thật, ứng với mô tả a. "1 - a, 2 - b, 3 - c, 4 - d" ghép theo thứ tự xuất hiện, đặt false negative vào mô tả phát hiện thành công, trái hẳn nghĩa. "1 - b, 2 - c, 3 - d, 4 - b" dùng một mô tả hai lần và gán true positive cho cảnh báo nhầm. "1 - a, 2 - c, 3 - b, 4 - d" đúng ở hai cặp giữa nhưng tráo false negative với true positive.

Đáp án đúng: "Whaling". Whaling (săn cá voi) là biến thể của spear phishing nhắm riêng vào nhân vật cấp cao như giám đốc điều hành, giám đốc tài chính, vì họ có quyền phê duyệt chuyển tiền và truy cập dữ liệu nhạy cảm; thư thường được soạn rất kỹ, giả dạng việc pháp lý hay đối tác quan trọng. "Phishing" sai vì đó là thuật ngữ chung chỉ lừa đảo gửi đại trà tới nhiều người, không chỉ định đối tượng cấp cao. "Spear phishing" sai vì spear phishing (lừa đảo nhắm mục tiêu) nhắm vào một cá nhân hay nhóm cụ thể bất kỳ; whaling là trường hợp riêng khi mục tiêu là lãnh đạo, nên đây là câu trả lời chính xác hơn. "Vishing" sai vì vishing là lừa đảo qua cuộc gọi thoại, phân loại theo kênh liên lạc chứ không theo đối tượng bị nhắm tới.

Đáp án đúng: "An attack that can be performed using Bluetooth with vulnerable devices in range. This attack actually steals information from the device of the victim.". Bluesnarfing là tấn công qua Bluetooth vào thiết bị có lỗ hổng trong tầm phủ sóng nhằm truy cập trái phép và lấy cắp dữ liệu như danh bạ, tin nhắn, lịch; phòng thủ bằng cách cập nhật firmware, tắt Bluetooth hoặc chế độ cho phép phát hiện khi không dùng. Mô tả "impersonating a wireless AP or a captive portal to convince a user" là kiểu evil twin hoặc cổng đăng nhập giả trên Wi-Fi, dựa vào kỹ nghệ xã hội để thu thông tin đăng nhập, không liên quan Bluetooth. Mô tả "commonly performed as spam over Bluetooth connections using the OBEX protocol" là bluejacking: gửi tin nhắn không mong muốn qua giao thức OBEX, gây phiền nhưng không lấy dữ liệu. Mô tả "modifying BLE messages between systems" là tấn công xen giữa trên Bluetooth Low Energy, sửa thông điệp để hai bên tưởng đang nói chuyện với thiết bị hợp lệ, khác với việc đánh cắp dữ liệu trực tiếp.

Đáp án đúng: "Name registration and resolution". NetBIOS-NS chạy trên cổng UDP 137, có nhiệm vụ đăng ký tên NetBIOS của máy trong mạng cục bộ và phân giải tên đó thành địa chỉ IP, tương tự vai trò của DNS nhưng cho mạng Windows cũ. Vì trả lời truy vấn quảng bá mà không xác thực, nó dễ bị đầu độc phản hồi nên thường được khuyến nghị tắt khi không dùng. "Encrypt data before transmission" sai vì NetBIOS không cung cấp mã hóa; bảo mật kênh truyền là việc của các giao thức như TLS hay IPsec. "Authenticate users across domains" là chức năng của các giao thức xác thực như Kerberos hay NTLM trong Active Directory. "Monitor DNS spoofing attacks" là việc của hệ thống phát hiện xâm nhập hoặc công cụ giám sát mạng, còn NetBIOS-NS chính là dịch vụ có thể bị giả mạo.

Đáp án đúng: "The DNS resolver cache is manipulated.". DNS poisoning (đầu độc DNS, còn gọi DNS cache poisoning) là việc chèn bản ghi giả vào bộ nhớ đệm của resolver hoặc máy chủ DNS, khiến người dùng hỏi một tên miền hợp lệ lại nhận về địa chỉ IP do kẻ tấn công kiểm soát cho tới khi bản ghi hết hạn TTL; DNSSEC và cổng nguồn ngẫu nhiên là các biện pháp giảm thiểu. "The DNS server forward lookup zone is cleared." sai vì xoá vùng tra thuận là phá huỷ dữ liệu cấu hình, gây mất phân giải chứ không chuyển hướng nạn nhân. "The DNS server reverse lookup zone is cleared." sai vì vùng tra ngược chỉ ánh xạ IP về tên, xoá nó cũng là phá hoại dịch vụ chứ không phải đầu độc. "The DNS server IP address is changed." sai vì đổi IP của chính máy chủ DNS chỉ làm máy khách mất kết nối; còn đổi cấu hình DNS trên máy nạn nhân là DNS hijacking, một kỹ thuật khác.

Đáp án đúng: "health plan". Theo HIPAA, luật bảo vệ dữ liệu y tế của Mỹ, có ba loại covered entity (đơn vị chịu điều chỉnh): health plan, healthcare provider và healthcare clearinghouse. Health plan (chương trình bảo hiểm y tế) là đơn vị chi trả cho dịch vụ y tế, như công ty bảo hiểm sức khoẻ hay chương trình bảo hiểm của nhà nước, nên đúng với định nghĩa trong câu hỏi. "healthcare provider" là bên cung cấp dịch vụ chăm sóc như bệnh viện, phòng khám, bác sĩ, tức bên nhận tiền chứ không trả tiền. "business associates" là đối tác xử lý dữ liệu sức khoẻ thay mặt covered entity, ví dụ đơn vị làm phần mềm hay lưu trữ hồ sơ. "healthcare clearinghouse" là đơn vị trung gian chuyển dữ liệu y tế từ dạng không chuẩn sang dạng chuẩn để trao đổi, không phải bên thanh toán. Khi kiểm thử hệ thống y tế, hiểu đúng các vai trò này giúp xác định dữ liệu nào thuộc phạm vi bảo vệ.

Đáp án đúng gồm ba ý: "costs and payment details", "the project timeline" và "the scope of the work". Thỏa thuận kiểm thử xâm nhập (penetration testing agreement, thường ở dạng hợp đồng hoặc statement of work) được ký trước khi bắt đầu, xác định phạm vi công việc (hệ thống nào được kiểm thử, kỹ thuật nào được phép), mốc thời gian thực hiện và chi phí cùng điều khoản thanh toán, để hai bên có căn cứ pháp lý và tránh tranh chấp. "the names of all personnel involved in the test" sai vì thỏa thuận thường nêu đầu mối liên lạc và vai trò, không bắt buộc liệt kê tên tất cả những người tham gia. "a list of vulnerabilities that were discovered" sai vì lỗ hổng chỉ được tìm ra sau khi kiểm thử, nên danh sách này nằm trong báo cáo cuối chứ không thể có trong thỏa thuận ký từ trước.

Đáp án đúng: "ineffective identification of what technical and nontechnical elements will be required for the penetration test". Scope creep (phình phạm vi) là khi công việc bị kéo rộng dần vượt ra ngoài thoả thuận ban đầu; nguyên nhân gốc thường là ngay từ khâu xác định phạm vi đã không liệt kê rõ các thành phần kỹ thuật và phi kỹ thuật cần kiểm, nên giữa chừng khách hàng liên tục bổ sung yêu cầu. "lack of up-to-date testing tools" sai vì công cụ lỗi thời làm giảm chất lượng kết quả chứ không làm phạm vi phình ra. "lack of system and network architectural diagrams" sai vì thiếu sơ đồ kiến trúc gây khó khăn khi lập kế hoạch, nhưng không tự nó thêm hạng mục mới vào hợp đồng. "poor formatted request for proposal (RFP) by the company" sai vì RFP (hồ sơ mời chào giá) trình bày kém chỉ là vấn đề hình thức của văn bản; điều quyết định scope creep là các thành phần cần kiểm có được xác định đầy đủ hay không.

Đáp án đúng: "Rules of engagement". Rules of engagement (quy tắc tham gia) là tài liệu xác định cách thức và điều kiện tiến hành kiểm thử xâm nhập: khung thời gian được phép, địa điểm, kỹ thuật được dùng và bị cấm, cách xử lý dữ liệu nhạy cảm, đầu mối liên lạc và cách leo thang khi phát hiện sự cố. "NDA" (non-disclosure agreement, thỏa thuận không tiết lộ) ràng buộc nghĩa vụ giữ bí mật thông tin giữa các bên, cần thiết nhưng không quy định điều kiện thực hiện kiểm thử. "Risk report" là báo cáo đánh giá rủi ro, thường là đầu vào hoặc đầu ra của quá trình đánh giá, không đặt ra luật chơi cho đợt kiểm thử. "Target matrix" (ma trận mục tiêu) liệt kê các hệ thống, tài sản cần kiểm thử cùng thông tin liên quan để tổ chức công việc, chứ không định nghĩa các điều kiện mà đợt kiểm thử phải tuân theo.

Đáp án đúng: "Spamming". Trong nhóm tấn công thiết bị di động, spamming là gửi hàng loạt tin nhắn SMS không mong muốn, thường kèm liên kết phishing dẫn tới trang giả mạo hoặc tệp độc hại; hình thức lừa qua tin nhắn này còn gọi là smishing (SMS phishing). Cách phòng thủ là lọc tin rác, đào tạo người dùng không bấm liên kết lạ và xác minh người gửi. "Reverse Engineering" (dịch ngược) là phân tích mã đã biên dịch của ứng dụng để hiểu logic, tìm khóa nhúng hay lỗ hổng, không phải gửi tin nhắn. "Sandboxing" là cơ chế cô lập ứng dụng trong vùng chạy riêng để hạn chế quyền truy cập, vốn là biện pháp bảo vệ chứ không phải tấn công. "Malware Injection" là cài cắm mã độc vào ứng dụng hoặc thiết bị; liên kết trong SMS có thể dẫn tới mã độc, nhưng hành vi gửi tin hàng loạt mới là điều câu hỏi mô tả.